Alguns sites WordPress ainda podem ser atacados durante a instalação da correção de uma falha explorada ativamente, segundo Umut Bayram, pesquisador da Picus Security que identificou o problema.
A atualização que instala a correção ainda extrai os arquivos usando o código antigo do site, que não foi corrigido. Assim, um invasor que agir no momento certo pode executar código no servidor. O pesquisador recomenda bloquear o acesso pela web à pasta `wp-content/upgrade` antes de atualizar o site.
A falha, identificada como
CVE-2026-119977
, afeta as versões do WordPress de 4.7 a 7.1.3. Durante uma atualização do núcleo que usa um pacote completo, o WordPress extrai uma cópia da nova versão para uma pasta temporária dentro de `wp-content/upgrade`. Essa cópia inclui o instalador do WordPress, que geralmente pode ser acessado pelo servidor web.
Um invasor sem conta que consiga descobrir o nome da pasta e acessar o instalador antes de o WordPress apagar a cópia pode acabar executando código no servidor. No início desta semana, a Cybersecurity and Infrastructure Security Agency (CISA) incluiu a falha em seu catálogo de vulnerabilidades conhecidas e exploradas.
O WordPress lançou a correção na semana passada, na versão 7.1.4, além de atualizações correspondentes para ramos anteriores até a versão 4.7. Todas estão listadas no comunicado de segurança do WordPress.
A correção atribui um nome aleatório à pasta temporária. Porém, a atualização que instala a correção extrai os arquivos usando o código antigo que já está no site, como mostra o código do atualizador do WordPress. Em sites com a versão 5.9 ou posterior, esse código antigo dá à pasta o nome do arquivo baixado, que ainda pode ser previsto.
Antes da correção, um invasor podia usar o instalador para gravar um novo arquivo de configuração, `wp-config.php`, na cópia temporária. Em seguida, a atualização poderia sobrescrever o arquivo original do site com essa versão. A parte da correção que impede isso já funciona durante a atualização que a instala, pois o WordPress copia os arquivos para o local definitivo usando o novo código.
Um invasor que aproveite o intervalo durante essa atualização ainda pode configurar a cópia temporária do WordPress para usar seu próprio banco de dados, entrar nela e executar código PHP com as permissões do servidor web antes que a cópia seja apagada, afirma Bayram em sua análise técnica. A partir daí, pode ler ou gravar arquivos no site WordPress ativo.
Quem fica exposto durante a atualização
Nem toda atualização expõe o instalador, diz o pesquisador. Pacotes completos sempre incluem os arquivos do instalador. Um pacote parcial menor, criado para uma versão inicial específica, só expõe o site se incluir esses arquivos.
Em sites que permitem atualizações automáticas em segundo plano, o WordPress instala a correção automaticamente, usando o mesmo atualizador e as mesmas etapas.
Em consulta realizada pelo The Hacker News ao serviço de atualizações do WordPress.org, foram analisadas várias versões. Em atualizações dentro do mesmo ramo, como da versão 7.1.3 para a 7.1.4, o serviço ofereceu um pacote parcial, inclusive para atualizações automáticas. Já na migração de um ramo anterior, como da versão 7.0.7 para a 7.1.4, ofereceu apenas pacotes completos.
Nas versões de 4.4 a 5.8, o código antigo acrescenta caracteres aleatórios ao nome da pasta. Isso dificulta descobri-lo, a menos que o site o revele de outra forma, como em uma mensagem de erro, afirma o pesquisador.
Depois que a versão 7.1.4 ou a correção correspondente ao ramo é instalada, as atualizações seguintes usam um nome aleatório para a pasta, e um arquivo `wp-config.php` presente na cópia temporária nunca é transferido para o arquivo original.
O que fazer antes de atualizar
A primeira recomendação do pesquisador é impedir que o servidor web disponibilize a pasta `wp-content/upgrade`. Como o WordPress acessa essa pasta diretamente no disco, bloquear o acesso pela web não impede as atualizações, afirma ele.
- Bloqueie a pasta na configuração do servidor web. No Nginx, adicione `location ^~ /wp-content/upgrade/ { deny all; }`. No Apache, inclua `Require all denied` em um bloco `<Directory>` referente à pasta, na configuração do host virtual.
- Se só puder editar o arquivo `.htaccess`, adicione `RedirectMatch 403 ^/wp-content/upgrade/` ao `.htaccess` na raiz do WordPress, acima das regras de reescrita do WordPress.
- Não coloque um arquivo `.htaccess` dentro de `wp-content/upgrade`. O atualizador antigo apaga tudo o que estiver nessa pasta antes de extrair uma atualização, então o arquivo desapareceria justamente quando fosse necessário.
- Confirme que uma solicitação a `/wp-content/upgrade/` retorna um erro 403.
- Atualize para a versão 7.1.4 ou para a versão corrigida do seu ramo.
A outra opção segura, segundo ele, é fazer uma atualização manual fora da raiz da web, ou seja, da pasta disponibilizada pelo servidor web. Faça uma cópia de segurança dos arquivos do site e do banco de dados, extraia a nova versão em uma pasta que não seja servida pelo servidor web, copie os arquivos do núcleo para o local definitivo sem alterar `wp-config.php` nem `wp-content` e, depois, execute a atualização do banco de dados do WordPress. Assim, nenhum instalador temporário será criado em uma pasta acessível pela web.
O comando `wp core update` do WP-CLI não é uma alternativa, pois usa o mesmo atualizador e extrai o pacote na mesma pasta.
O WordPress 4.6 e versões anteriores não recebem mais atualizações de segurança, portanto não há correção para elas. O pesquisador afirma que a falha existe desde o WordPress 2.7, lançado em 2008, e recomenda que esses sites migrem para uma versão com suporte.
Ataques e o que verificar
A inclusão da falha no catálogo da CISA, no início desta semana, foi baseada em evidências de exploração ativa, mas a agência não detalhou os ataques.
A Wordfence, empresa de segurança especializada em WordPress que atribuiu o identificador CVE à falha, observou tentativas de ataque nove minutos depois de disponibilizar uma regra de firewall para o problema, no dia do lançamento. Duas das fontes mais ativas continuaram verificando pequenos grupos de sites por cerca de 14 horas e meia. Segundo a análise de ataques da empresa, esse comportamento é compatível com tentativas de acertar o momento em que um site está sendo atualizado.
A pontuação da falha no registro CVE é 8,1 de 10 na escala CVSS. Nos testes de laboratório da empresa, a janela de exposição durou apenas alguns segundos. O comunicado do próprio WordPress classifica a falha como de baixo risco.
Desde o início desta semana, códigos descritos por seus autores como um exploit para a falha apareceram em repositórios públicos do GitHub. Um deles afirma que o código também funciona em sites que ainda usam um nome previsível para a pasta durante atualizações com pacotes completos. Ainda não foi confirmado se o código funciona.
Para sites que continuaram em uma versão vulnerável após o lançamento da correção, a Wordfence recomenda procurar por:
- solicitações inesperadas a arquivos PHP dentro de `wp-content/upgrade`;
- contas de administrador desconhecidas;
- plugins que ninguém instalou;
- arquivos PHP em `wp-content/upgrade` que não foram colocados ali pela equipe do site.
Atualização
Em 6 de novembro, Bayram afirmou ao The Hacker News que a exposição durante uma atualização parcial depende do conteúdo específico do pacote. Um pacote parcial contém apenas os arquivos alterados entre duas versões. Se não incluir os arquivos do instalador, a cópia temporária não poderá funcionar como uma instalação do WordPress, e o instalador não ficará acessível.
Um site também nem sempre recebe um pacote parcial, mesmo quando há um disponível. O WordPress recorre a um pacote completo se os arquivos do núcleo do site não corresponderem às somas de verificação oficiais ou se a atualização for uma reinstalação.
O fator decisivo, afirmou o pesquisador, “não é se o pacote é parcial ou completo. É se o atualizador já instalado no site foi corrigido”.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...